Backup-Strategie für den Mittelstand: der Praxis-Leitfaden

Die meisten Unternehmen denken über ihr Backup erst an dem Tag ernsthaft nach, an dem sie es brauchen. Dann liegt der Server still, die Buchhaltung kommt nicht an ihre Daten, und die entscheidende Frage lautet: Wann wurde zuletzt gesichert – und lässt sich diese Sicherung überhaupt zurückspielen? Eine Backup-Strategie beantwortet diese Frage, bevor sie gestellt werden muss. Dieser Leitfaden zeigt, wie eine belastbare Datensicherung im Mittelstand aussieht: von der 3-2-1-Regel über den Ransomware-Schutz bis zu den Werten, an denen sich alles messen lässt.

Warum Backup im Mittelstand unterschätzt wird

Datensicherung wirkt wie eine erledigte Sache. Irgendwo läuft ein Sicherungsjob, irgendwo liegt eine externe Festplatte – also wird es schon passen. Genau diese trügerische Ruhe ist das Problem. Denn ein Backup, das läuft, ist nicht dasselbe wie ein Backup, das im Ernstfall auch wirklich Daten zurückbringt.

Im Mittelstand kommen mehrere Dinge zusammen. Oft trägt eine einzelne Person die Verantwortung für die IT, und die Sicherung läuft, seit sie einmal eingerichtet wurde, unbeobachtet weiter. Ob sie noch alle wichtigen Systeme erfasst, ob die Festplatte voll ist, ob die letzte Rückspielung je getestet wurde – das prüft im Tagesgeschäft niemand. Dazu liegen Daten heute an vielen Orten: auf dem Server, in Microsoft 365, auf Laptops, in Fachanwendungen. Eine Sicherung, die nur den Server erfasst, lässt große Lücken offen.

Eine Backup-Strategie bedeutet: schriftlich festzulegen, welche Daten wie oft, auf welches Medium, wie lange und mit welcher zugesicherten Wiederherstellungszeit gesichert werden – und wer das überprüft. Alles darunter ist ein Sicherungsjob, kein Konzept.

Die 3-2-1-Regel: das Fundament jeder Datensicherung

Wenn es eine Regel gibt, die eine Backup-Strategie tragen kann, dann diese. Die 3-2-1-Regel ist seit Jahren der anerkannte Standard – einfach zu merken und schwer zu widerlegen:

• 3 Kopien: das Original im laufenden Betrieb plus zwei Sicherungen. Fällt eine aus, bleiben noch zwei.
• 2 Medien: auf zwei unterschiedlichen Medientypen. Liegen beide Backups auf demselben NAS im selben Schrank, teilen sie dasselbe Schicksal – bei Defekt, Blitzschlag oder Diebstahl sind beide weg.
• 1 extern oder offline: Mindestens eine Kopie liegt außer Haus oder getrennt vom Tagesbetrieb. Ein Brand oder ein Verschlüsselungsangriff darf nicht alle Kopien auf einmal erwischen.

Diese eine externe, getrennte Kopie ist der Teil, an dem die meisten Strategien scheitern – und ausgerechnet der wichtigste. Redundanz ist dabei keine Verschwendung: Eine einzige Sicherung ist ein einziger Ausfallpunkt. Eine ausführliche Definition steht im Wissens-Eintrag zum Backup.

Wir sehen es jede Woche: Backups, die seit Monaten niemand geprüft hat. Alle denken, es läuft — bis der Ernstfall kommt und nichts wiederherstellbar ist.

Jens HagelGründer & Geschäftsführer

Die Regel ist bewusst technikneutral: Ob die zweite Kopie auf Band, auf einem zweiten NAS oder in einem deutschen Rechenzentrum liegt, ist zweitrangig – entscheidend ist, dass kein einzelnes Ereignis alle drei Kopien gleichzeitig trifft.

Was in ein Datensicherungskonzept gehört

Das BSI beschreibt im IT-Grundschutz-Baustein CON.3 „Datensicherungskonzept”, was ein solches Konzept mindestens abdecken muss. Zwei Punkte sind dort als MUSS formuliert: Art, Häufigkeit und Zeitpunkte der Sicherungen werden gemeinsam mit den Fachverantwortlichen bestimmt, und Datensicherungen liegen immer auf separaten Speichermedien. Als eigene Gefährdung führt der Baustein „Fehlende Wiederherstellungstests” auf.

• Datenbestand erfasst. Welche Systeme, Datenbanken, Postfächer und Fachanwendungen gesichert werden – abgestimmt mit den Fachverantwortlichen, nicht von der IT geschätzt.
• Art, Häufigkeit, Zeitpunkte festgelegt. Je System, nicht pauschal für alle.
• Separate Speichermedien. Die Sicherung liegt nie auf demselben Speicher wie das Original.
• Aufbewahrungsort und Transport geregelt. Wo die externe Kopie liegt und wer Zugriff hat.
• Aufbewahrungsdauer und Versionsstände. Wie weit zurück Sie zurückkehren können – wichtig, wenn ein Schaden erst Wochen später auffällt.
• Wiederherstellung dokumentiert – auch offline. Liegt die Anleitung nur im verschlüsselten Netz, fehlt sie genau dann, wenn sie gebraucht wird.
• Testtermine im Kalender. Mit Verantwortlichem, Protokoll und gemessener Rückspielzeit.

Wer diese sieben Punkte schriftlich hat, hat ein Konzept. Wer sie im Kopf hat, hat ein Risiko – spätestens, wenn diese Person im Urlaub ist. Wie sich das Datensicherungskonzept in den größeren Rahmen einfügt, zeigt unser Beitrag zum IT-Sicherheitskonzept.

Voll, differenziell oder inkrementell: wie viel gesichert wird

Wie eine Sicherung technisch abläuft, entscheidet über Speicherbedarf, Sicherungsdauer und vor allem über die Zeit, die eine Wiederherstellung kostet. In der Praxis werden diese Verfahren fast immer kombiniert.

In der Praxis bewährt sich eine Mischung: ein regelmäßiges Vollbackup als Anker, dazwischen häufige inkrementelle Sicherungen. Der Preis dafür ist die Abhängigkeit von der Kette – fehlt ein Glied, ist alles danach wertlos. Das BSI empfiehlt in CON.3 zusätzlich, in virtuellen Umgebungen und auf Storage-Systemen Snapshots als schnell wiederherstellbare Zwischenversionen zu prüfen. Wichtig dabei: Ein Snapshot liegt auf demselben System wie die Produktivdaten und ist deshalb eine Bequemlichkeit, kein Backup. Wie dicht die Sicherungszeitpunkte liegen müssen, ergibt sich am Ende nicht aus der Technik, sondern aus einer Geschäftsentscheidung.

Ransomware: warum eine Kopie offline oder unveränderbar sein muss

Der häufigste Grund, warum ein Backup im Ernstfall versagt, hat einen Namen: Ransomware. Angreifer verschaffen sich Zugang zum Netzwerk und verschlüsseln alle erreichbaren Daten – und moderne Schadsoftware sucht dabei gezielt nach verbundenen Sicherungslaufwerken und Backup-Servern. Ein Backup, das dauerhaft online und beschreibbar am Netz hängt, wird dann Teil des Schadens statt seiner Lösung.

Deshalb ist die „1” aus der 3-2-1-Regel bei Ransomware die entscheidende Zahl. Eine Kopie muss außerhalb der Reichweite der Angreifer liegen. Dafür gibt es zwei Wege:

• Offline (air-gapped): Die Sicherung ist physisch oder logisch vom Netz getrennt und nur zum Sichern kurz verbunden. Was nicht erreichbar ist, kann nicht verschlüsselt werden.
• Unveränderbar (immutable): Die Kopie wird für einen festgelegten Zeitraum schreibgeschützt gespeichert. Selbst mit gestohlenen Administratorrechten lässt sie sich in dieser Zeit weder überschreiben noch löschen.

Das BSI führt die vom Netz getrennte Sicherung in seinen Top 10 der Maßnahmen gegen Ransomware ausdrücklich auf; CON.3 verlangt zusätzlich, besonders schützenswerte Sicherungsmedien nur während des Sicherns und Zurückspielens mit dem Netz zu verbinden. Wie ein solcher Angriff abläuft, beschreibt unser Beitrag zu Ransomware; welche Grundschutz-Maßnahmen daneben greifen, steht in der IT-Sicherheits-Checkliste für den Mittelstand.

Genau dieses Glück soll eine Backup-Strategie überflüssig machen. Die Festplatte im Auto ist eine funktionierende externe Kopie – aber eine, die vom Gedächtnis und der Anwesenheit einer einzelnen Person abhängt.